Les mots de passe trop faciles à deviner sont le fléau pour tout système que l'on veut sécuriser. Il est totalement inutile d'employer les techniques d'encryptage les plus avancées si le mot (ou la phrase) de passe peut se trouver trop simplement. Une chaîne est aussi faible que le plus faible de ses maillons. Bien souvent, ce maillon faible, c'est Laurence Boccolini (désolé...) le mot de passe (la vulnérabilité de WPA-PSK est un bon exemple). La qualité principale d'un mot de passe est sa complexité. Vient ensuite la praticité (et contrairement à ce que l'on pourrait penser ces deux exigences ne sont pas forcément contraires). Je vous livre deux trois conseils que j'ai pu glaner en me baladant sur le Web.

Entropie maximale et Facilité à retenir

Je ne saurais que vous conseiller d'aller lire cet article : The usability of passwords by Thomas Baekdal, très bien foutu, et agréable à lire de surcroît.
Pour les anglophobes, il y est dit (et montré) que choisir un mot commun ou courant comme mot de passe est totalement idiot, que choisir un mot de passe du genre "sfJyT&(-Hgg76d" est assez sécuritaire, mais qu'étonnamment, "this is fun" est plus dur à casser que "sfJyT&(-Hgg76d".

Grand nombre de mots de passe

Je ne compte pas retenir un mot de passe par service, l'idée est donc de décliner quelques mots de passe sécurisés en plusieurs dizaines, facilement retrouvables à partir des mots de passe originaux, et avec l'aide éventuelle d'un index, mais ne permettant pas de deviner les autres. Certains se construisent un préfixe sécurisé qu'ils retiennent, et y adjoignent un suffixe propre à chaque service, soit le nom du service lui même, soit un numéro qu'ils peuvent noter dans une liste. D'autres créent un mot de passe sécurisé par service un tant soit peu critique, et un mot de passe plus simple leur servant à tous les autres services. Ces deux méthodes présentent des petits défauts. Pour la première l'utilisation systématique du même préfixe sur tous les services les met à la merci d'un administrateur peu scrupuleux, et ce pour tous les services. La deuxième méthode laisse la possibilité de se faire pirater tous les services "secondaires"

Ma méthode

J'ai fait un mix des deux : je me suis créé un set d'une dizaine de mots de passe sécurisés que je combine, je n'ai qu'à retenir lesquels je choisis quand je forme la combinaison. Ainsi, la liste de combinaisons est assez facile à retenir, je peux me permettre de la noter puisqu'elle est inutile sans les mots de passe, et enfin la possession d'un de mes mots de passe ne suffit pas pour déterminer les autres. Bingo ! (C'est un peu tordu, mais efficace)

Et vous, vous faites quoi pour gérer vos mots de passe ?

Lire la suite...